왜 TISAX인가
독일 자동차 산업의 정보보안 요구:
- BMW·Mercedes·VW·Audi·Porsche: 협력사 정보보안 요구 증가
- Bosch·ZF·Continental·Schaeffler: Tier 1 정보보안 핵심
- CASE (Connected·Autonomous·Shared·Electric): 정보 가치 폭증
- EU GDPR·UNECE R155: 법적 의무
문제:
- 각 OEM 자체 정보보안 평가 (반복)
- 협력사 부담 (BMW·Mercedes·VW 등 별도)
- 평가 일관성 부족
TISAX(Trusted Information Security Assessment Exchange·신뢰 정보보안 평가 교환) = 독일 자동차 산업이 정한 통합 정보보안 평가.
TISAX 역사:
- 2017년 VDA·ENX (European Network Exchange) 공동 시작
- 현재 글로벌 3,000+ 회사 인증
- 한국 자동차 부품 협력사도 점진 도입
ENX (European Network Exchange):
- TISAX 운영
- 평가 결과 OEM 공유 (1회 평가·전 OEM 공유)
- 협력사 부담 감소
대상:
- 독일 OEM 협력사 (직거래·간접)
- 글로벌 Tier 1 (Bosch·ZF 등) 협력사
- 자동차 정보 (도면·BOM·기획) 다루는 회사
- E/E·자율주행·소프트웨어 회사
TISAX 평가 영역:
- 정보보안 (Information Security): 기본
- 자료 보호 (Data Protection): GDPR
- 프로토타입 보호 (Prototype Protection): 신차 정보
- 연결성 (Connectivity): 외부 접속
평가 수준 (Assessment Level·AL):
- AL 1: 자가 평가
- AL 2: 외부 평가 (원격)
- AL 3: 외부 평가 (현장·필요 시 표본)
대부분 협력사 AL 2 (Information Security + Data Protection). 프로토타입 보유 시 AL 3.
이 블로그는 한국 자동차 부품 협력사의 TISAX 5단계 인증 로드맵을 정리한다.
TISAX 성숙도 5단계
| 단계 | 상태 | TISAX 등급 |
|---|---|---|
| L0 | 미인지 | 없음 |
| L1 | ISO 27001·자체 보안 | 평가 없음 |
| L2 | TISAX 갭 분석·AL 1 | 시작 |
| L3 | TISAX AL 2·3 획득 | 인증 |
| L4 | 지속·우수·생태계 | 지속 |
대부분 한국 자동차 부품 협력사는 L0~L1. 독일 OEM·Tier 1 협력사는 L3 필수.
Stage 1 — 진단·범위·AL 결정 (4~6주)
1.1 TISAX 필요성
다음 시 도입:
- BMW·Mercedes·VW·Audi·Porsche 직거래·진출
- Bosch·ZF·Continental·Schaeffler 협력사
- VDA 6.3 보유 회사
- 자동차 정보·도면·소프트웨어 다루는 회사
- 프로토타입·신차 정보 보유
1.2 ISO 27001·27701 선행
TISAX 전제:
- ISO 27001 (필수 권장)
- ISO 27701 (개인정보)
- ISO/SAE 21434 (E/E 사이버보안)
ISO 27001 없이 TISAX 직접 도전 어려움.
1.3 평가 영역 결정
옵션 A: Information Security만 (대부분) 옵션 B: + Data Protection (GDPR) (개인정보 다룰 시) 옵션 C: + Prototype Protection (프로토타입 보유 시) 옵션 D: + Connectivity (협력사 외부 접속)
회사 상황에 따라 선택.
1.4 AL (Assessment Level) 결정
대부분:
- AL 2: 일반 협력사 (원격 평가)
- AL 3: 프로토타입·민감 정보 (현장 평가)
1.5 ENX·외부 평가 기관
ENX (European Network Exchange) 등록:
- ENX 협회 가입
- 평가 기관 선정 (Auditor)
- 평가 일정
TISAX 인증 기관:
- TÜV SÜD·Nord·Rheinland
- DEKRA·SGS·BV·DNV
- 한국 일부
1.6 임원·IT·법무 합의
- 임원: 12~18개월 인증·예산
- CIO·IT: 보안 시스템
- 법무: GDPR·정보보호
- 외부 컨설팅
투자 규모: 1~5억원.
Stage 1 산출물: TISAX 필요성, ISO 27001 선행, 평가 영역·AL 결정, ENX 등록·평가 기관, 임원 합의.
Stage 2 — TISAX 갭 해소 (12~16주)
2.1 VDA ISA (Information Security Assessment)
VDA가 정한 TISAX 평가 기준:
- VDA ISA Catalog
- 6개 도메인 (IS Policy·조직·인적·물리·기술·관리)
- 각 도메인 통제 항목
2.2 정보보안 정책
- CEO 서명 정책
- 조직·역할 (CISO)
- 자료 분류 (Confidential·Internal·Public)
- 접근 통제
2.3 자료 분류·라벨링
자동차 정보 분류:
- 공개: 마케팅 자료
- 내부: 회사 내부
- 기밀: 도면·BOM·기획
- 극비: 프로토타입·신차 정보
각 분류 보호 수준.
2.4 접근 통제 (IAM)
- 사용자 인증 (Multi-factor)
- 권한 분리 (Role-based)
- 협력사·외주 통제
- 외부 접속 (VPN·Zero Trust)
2.5 물리적 보안
- 시설 출입 통제
- CCTV·경비
- 자료 보관 (금고·잠금)
- 폐기 (파쇄·소거)
2.6 기술적 보안
- 암호화 (저장·전송)
- 백업·복구
- 안티 멀웨어
- 패치·업데이트
2.7 사고 대응
- 침해 감지·대응
- 복구·통보 (OEM·당국)
- 사후 분석
- ISO 22301·BCM 통합
2.8 프로토타입 보호 (AL 3)
신차·프로토타입 정보:
- 격리 환경 (Air-Gapped Network)
- 카메라·스마트폰 통제
- 위장·은폐
- 운반 보안
가장 어려운 영역. BMW·Mercedes 등 신차 노출 사고 다수.
2.9 GDPR·개인정보 (Data Protection)
- 정보 주체 권리
- 동의·보관 기간
- 위탁·국경 이전
- DPIA
ISO 27701 통합.
2.10 협력사·외주 관리
- 협력사 평가
- 외주 직원 신원
- 원격 접속 통제
- SLA·계약
Stage 2 산출물: VDA ISA, 정보보안 정책, 자료 분류·라벨링, 접근 통제, 물리적 보안, 기술적 보안, 사고 대응, 프로토타입 보호, GDPR, 협력사 관리.
Stage 3 — TISAX 평가·인증 (8~16주)
3.1 ENX 등록·평가 신청
- ENX 회원 가입
- 평가 기관 선정
- 평가 일정
3.2 자가 평가 (AL 1)
VDA ISA Catalog 자가 평가:
- 모든 통제 항목
- 응답·증빙
- 갭 식별
3.3 외부 평가 (AL 2·3)
평가 진행:
AL 2 (원격):
- 문서 검토 (2~4주)
- 화상 인터뷰·시연
- 시정·재확인
AL 3 (현장):
- 문서 검토 (2~4주)
- 현장 방문 (1~2주)
- 침투 시험 (선택)
- 인터뷰·실측
평가원 확인:
- ISO 27001 호환
- VDA ISA 통제
- 프로토타입 보호 (AL 3)
- 사고 대응
3.4 결과·라벨
평가 결과:
- 준수 (Conform): 통제 완전
- 부분 준수 (Partly Conform): 갭 있음
- 부적합 (Major Non-Conformity): 시정 필수
라벨 발급:
- 정보보안: 일반·고급·매우 고급
- 프로토타입: 차량·부품
- 데이터 보호
ENX 시스템에 자동 등록·OEM 공유.
3.5 부적합 시정
- Major: 60~90일
- Minor: 90~180일
- 시정 후 재평가
3.6 OEM 공유
ENX 통해 자동:
- BMW·Mercedes·VW 등 OEM이 TISAX 결과 즉시 확인
- 협력사 평가 반복 부담 감소
Stage 3 산출물: ENX 등록, 자가 평가, 외부 평가 보고서, 결과·라벨, 부적합 시정, OEM 공유.
Stage 4 — 유지·확장·지속 (지속)
4.1 3년 재인증
TISAX 라벨 유효기간 3년:
- 매년 자체 평가
- 3년 재평가
- 신규 OEM·신차 시 추가
4.2 ISO 27001·27701 통합 운영
- ISO 27001 (정보보안)
- ISO 27701 (개인정보)
- TISAX (자동차 정보)
- 통합 운영·심사
4.3 ISO/SAE 21434·UNECE R155 통합
- ISO/SAE 21434 (자동차 사이버보안 - 제품)
- TISAX (회사 정보보안 - 운영)
- 통합
4.4 신차·프로토타입
신차 진출 시:
- 프로토타입 보호 (AL 3)
- 신규 라벨
4.5 협력사 확장
자체 협력사도:
- TISAX 응답
- ENX 등록
- 공동 보안
4.6 ESG·SBTi·EcoVadis 통합
- 정보보안 = ESG 거버넌스
- EcoVadis 윤리 영역
- 글로벌 평가
Stage 4 산출물: 3년 재인증, ISO 통합, ISO/SAE 21434 통합, 신차·프로토타입, 협력사 확장, ESG 통합.
Stage 5 — 지속·디지털·생태계 (지속)
5.1 디지털 보안
- 침해 자동 감지
- 위협 자동 분석
- 자동 시정
5.2 Zero Trust·SASE
- 어디서나 접속·보안
- 사용자·자산·통신 매번 인증
- 클라우드·모바일 대응
5.3 Blockchain 통합
- 변조 불가 자료 이력
- 협력사 신원
- 사고 증거
5.4 글로벌 OEM 확장
TISAX + Catena-X:
- 자동차 데이터 공유
- 분쟁 광물·탄소
- 통합 디지털
5.5 협력사 생태계
- Sub-tier TISAX 확산
- 공동 개선
- 글로벌 보안
5.6 KPI
TISAX 운영 KPI:
- 라벨 유지·향상
- 침해 (목표: 0)
- 협력사 응답
- ENX 가입사 수
- ISO 27001·27701 통합
- 신차·프로토타입 대응
Stage 5 산출물: AI 보안, Zero Trust·SASE, Blockchain 통합, 글로벌 OEM 확장, 협력사 생태계, KPI 대시보드.
비용·일정 가이드
| 항목 | 소규모 (AL 2) | 중규모 (AL 2~3) | 대규모 (AL 3·다국) |
|---|---|---|---|
| 외부 컨설팅 | 3~7천만원 | 1~3억원 | 3~7억원 |
| ISO 27001 (선행) | 1~3억원 | 3~7억원 | 7~15억원 |
| 보안 시스템·시설 | 5천만~2억원 | 2~7억원 | 7~20억원 |
| ENX·외부 평가 | 3~7천만원 | 7천만~1.5억원 | 1.5~3억원 |
| 교육·운영 | 1~3천만원 | 3천만~1억원 | 1~3억원 |
| 합계 (인증까지) | 2~5억원 | 5~15억원 | 15~40억원 |
| 1차 인증 기간 | 12~18개월 | 18~24개월 | 24~30개월 |
ROI는 보통 24~48개월. 독일 OEM 신규 수주·매출로 회수.
TISAX vs ISO 27001 vs ISO/SAE 21434 비교
| 항목 | TISAX | ISO 27001 | ISO/SAE 21434 |
|---|---|---|---|
| 본질 | 자동차 산업 정보보안 | 정보보안 일반 | 자동차 사이버보안 (제품) |
| 출처 | VDA·ENX | ISO | ISO·SAE |
| 대상 | 자동차 OEM 협력사 | 모든 정보 | 자동차 E/E |
| 평가 | ENX·VDA ISA | KAB·BSI·DNV | OEM 평가·R155 |
| 글로벌 인정 | 독일·자동차 산업 | 글로벌 | 글로벌 |
| 핵심 | 자동차 정보 보호 | ISMS | 차량 사이버 |
관계: ISO 27001 (기본) + TISAX (자동차 회사) + ISO/SAE 21434 (자동차 제품). 셋 통합.
한국 중소·중견 적용 사례
사례 1: 자동차 부품 (충남 천안)
- 매출 480억, BMW·VW 협력사, ISO 27001 보유
- 도입 전: 정보보안 OEM별 따로 응답
- 도입: TISAX AL 2 + ISO 27001 통합
- 결과: BMW·VW·Audi 공통 인정, 협력사 평가 시간 -80%
- 기간: 18개월·총 투자 4억원
사례 2: 전장 (충북 청주)
- 매출 320억, 자동차 전장·소프트웨어
- 도입 전: ISO/SAE 21434 보유
- 도입: TISAX AL 3 + 21434 + 27001 통합
- 결과: 메르세데스 EQS·BMW iX 직거래, 매출 +35%
- 기간: 24개월·총 투자 9억원
사례 3: R&D 센터 (서울 강남)
- 매출 220억, 자동차 R&D·시제품
- 도입 전: 프로토타입 노출 우려
- 도입: TISAX AL 3 + Prototype Protection
- 결과: BMW·Mercedes 신차 R&D 진입, 매출 +25%
- 기간: 20개월·총 투자 6억원
세 사례 공통점: 모두 ISO 27001 + TISAX 통합과 OEM 공유 효율이 효과 핵심.
자가 진단 체크리스트
다음 12가지 중 6개 이상 “예”라면 TISAX 즉시 검토.
- BMW·Mercedes·VW·Audi·Porsche 직거래·진출 계획인가
- Bosch·ZF·Continental·Schaeffler 협력사인가
- ISO 27001 보유·도입 중인가
- VDA 6.3 보유했는가
- 자동차 도면·BOM·기획 정보 다루는가
- 프로토타입·신차 정보 보유한가
- GDPR·개인정보 다루는가
- OEM별 정보보안 평가 부담 큰가
- R&D·소프트웨어·E/E 산업인가
- ISO/SAE 21434 도입 중인가
- 12
30개월·240억원 투자 가능한가 - 협력사·외주 정보보안 강화 필요한가
7개 이상이면 Phase 1 진단부터 즉시 착수 권장.
마무리 — 독일 OEM 정보보안 통합 표준
ISO 27001 (글로벌 정보보안)·TISAX (자동차 산업)·ISO/SAE 21434 (자동차 제품) 통합 운영이 글로벌 자동차 협력사의 정보보안 표준.
TISAX는 ENX 통한 1회 평가·전 OEM 공유가 핵심. 협력사 부담 감소.
핵심은 ISO 27001 선행 + VDA ISA Catalog + 프로토타입 보호 (AL 3) + OEM 공유.
CONTIS은 한국 자동차 부품 협력사의 ISO 27001·27701·IATF 16949·APQP·PPAP·VDA 6.3·Ford Q1·GM BIQS·Stellantis QPS·POMSI·ISO 26262·21434·SOTIF·ISO 22301·BCM·OT 사이버보안·IEC 62443·Blockchain·Catena-X·ESG·SBTi·EcoVadis와 통합한 TISAX 인증을 지원합니다. 진단·갭·외부 평가·OEM 공유·디지털까지 단계별 동행이 필요하면 상담 요청으로 문의 바랍니다.